Merge openldap (2.4.49+dfsg-3) import into refs/heads/workingbranch

[PATCH] ITS#9171 Insert callback in the right place

Gbp-Pq: Name ITS-9171-Insert-callback-in-the-right-place.patch

[PATCH] ITS#9086 Add debug logging for more GnuTLS errors

Gbp-Pq: Name ITS-9086-Add-debug-logging-for-more-GnuTLS-errors.patch

set-maintainer-name

Gbp-Pq: Name set-maintainer-name

ITS6035-olcauthzregex-needs-restart

Gbp-Pq: Name ITS6035-olcauthzregex-needs-restart.patch

don't second-guess BDB ABI

Bug-Debian: http://bugs.debian.org/651333
Forwarded: not-needed

OpenLDAP upstream conservatively assumes that any change to the version
number of libdb can result in an API-breaking change that could impact
the database.  In Debian, we know that such changes require bumping the
library soname and changing the package name, and demand such rigor from
our package maintainers even when upstreams don't deliver; so any such
check in the source code works against the packaging system by forcing
database upgrades when we know none are required.  Disable this check
so we rely on the packaging system to do its job.

Gbp-Pq: Name no-bdb-ABI-second-guessing

Switch to lt_dlopenadvise() so back_perl can be opened with RTLD_GLOBAL. Open all modules with RTLD_GLOBAL, needed so that back_perl can load non-trivial Perl extensions that require symbols from back_perl.so itself.

Bug-Debian: http://bugs.debian.org/327585

Gbp-Pq: Name switch-to-lt_dlopenadvise-to-get-RTLD_GLOBAL-set.diff

fix-build-top-mk

Gbp-Pq: Name fix-build-top-mk

add-tlscacert-option-to-ldap-conf

Gbp-Pq: Name add-tlscacert-option-to-ldap-conf

ldap-conf-tls-cacertdir

Gbp-Pq: Name ldap-conf-tls-cacertdir

lastbind-makefile-manpage

Gbp-Pq: Name lastbind-makefile-manpage

[PATCH] contrib/smbk5pwd: add man page, install it too

Add a manual page slapo-smbk5pwd.5 and update smbk5pwd's Makefile to
install the new manual page.

This patch is derived from the corresponding patch upstreamed in ITS#8205

Gbp-Pq: Name smbk5pwd-makefile-manpage

contrib-makefiles

Gbp-Pq: Name contrib-makefiles

Import Argon2 password module from upstream git

Origin: upstream, https://git.openldap.org/openldap/openldap/-/tree/OPENLDAP_REL_ENG_2_5/contrib/slapd-modules/passwd/argon2
Bug-Debian: https://bugs.debian.org/920283
Last-Update: 2020-04-04

The files are updated to upstream commit af5ed7c6e2.

Gbp-Pq: Name argon2.patch

do-not-second-guess-sonames

Rip out code that second-guesses the libsasl soname / Debian shlibs.  If
cyrus sasl upstream is breaking the ABI, this needs to be fixed upstream
there, not kludged around upstream here!

Debian bug #546885

Upstream ITS #6302 filed.

Gbp-Pq: Name do-not-second-guess-sonames

getaddrinfo-is-threadsafe

OpenLDAP upstream conservatively assumes that certain resolver functions
(getaddrinfo, getnameinfo, res_query, dn_expand) are not re-entrant; but we
know that the glibc implementations of these functions are thread-safe, so
we should bypass the use of this mutex.  This fixes a locking problem when
an application uses libldap and libnss-ldap is also used for hosts
resolution.

Closes Debian bug #340601.

Not suitable for forwarding upstream; might be made suitable by adding a
configure-time check for glibc and disabling the mutex only on known
thread-safe implementations.

Gbp-Pq: Name getaddrinfo-is-threadsafe

libldap-symbol-versions

Add symbol versioning to the public LDAP libraries.  This is required for
library transitions, such as the current transition from 2.1 to 2.4,
since programs will sometimes have both libraries loaded by different
dependency chains during the transition.

Not yet contributed upstream.

Upstream ITS #5365 filed requesting symbol versioning for libldap and
libber.

Gbp-Pq: Name libldap-symbol-versions

sasl-default-path

Add /etc/ldap/sasl2 to the SASL configuration search path.

Not submitted upstream.  Somewhat Debian-specific and probably not of
interest upstream.

Gbp-Pq: Name sasl-default-path

index-files-created-as-root

Document in the man page that slapindex should be run as the same user
as slapd, and print a warning if it's run as root (since Debian defaults
to running slapd as openldap).

Not suitable for upstream in this form.  This patch needs to be reworked
to check the BerkeleyDB database ownership and only warn if running as
root with a database that's not owned by root.

Upstream ITS #5356 filed requesting better handling of this.  Current
upstream discussion leans towards putting the check into the database
backend and aborting if slapd is run as a different user than the database
owner, which is an even better fix.

Gbp-Pq: Name index-files-created-as-root

wrong-database-location

Move the default slapd database location to /var/lib/ldap instead of
/var/openldap-data.

Debian-specific.

Gbp-Pq: Name wrong-database-location

ldapi-socket-place

Move the ldapi socket to /var/run/slapd from /var/run, since /var/run
is only writable by root and slapd runs as openldap.

Debian-specific.

Gbp-Pq: Name ldapi-socket-place

slapi-errorlog-file

The slapi error log file defaults to /var/errors given our setting
of --localstatedir.  Move it to /var/log/slapi-errors instead.

Debian-specific.

Gbp-Pq: Name slapi-errorlog-file

evolution-ntlm

Patch from evolution-exchange (2.10.3).  The ldap_ntlm_bind function is
actually called by evolution-data-server, checked at version 1.12.2.
Without this patch, the Exchange addressbook integration uses simple binds
with cleartext passwords.

Russ checked with openldap-software for upstream's opinion on this patch
on 2007-12-21.  Upstream had never received it as a patch submission and
given that it's apparently only for older Exchange servers that can't do
SASL and DIGEST-MD5, it's not very appealing.

Bug#457374 filed against evolution-data-server asking if this support is
still required on 2007-12-21.

Gbp-Pq: Name evolution-ntlm

man-slapd

Patch the slapd man page to not refer to a header file that isn't
installed with the slapd package and to reference the correct path
for slapd.

Debian-specific.

Gbp-Pq: Name man-slapd

Replace upstream version with Debian version in version strings

Forwarded: not-needed

Gbp-Pq: Name debian-version

openldap (2.4.49+dfsg-3) unstable; urgency=medium

  * Drop patch no-AM_INIT_AUTOMAKE. Instead, configure dh_autoreconf to skip
    automake by setting AUTOMAKE=/bin/true. (Closes: #864637)
  * debian/patches/debian-version: Show Debian version, instead of upstream
    version, in version strings.
  * Add ${perl:Depends} to slapd Depends to silence a dpkg-gencontrol warning.
    This is practically a no-op since slapd explicitly Depends on perl because
    of the maintainer scripts.
  * Import the Argon2 password module from upstream git and install it in
    slapd-contrib. New Build-Depends: libsodium-dev. (Closes: #920283)

[dgit import unpatched openldap 2.4.49+dfsg-3]

Import openldap_2.4.49+dfsg-3.debian.tar.xz

[dgit import tarball openldap 2.4.49+dfsg-3 openldap_2.4.49+dfsg-3.debian.tar.xz]

Merge openldap (2.4.49+dfsg-2) import into refs/heads/workingbranch

[PATCH] ITS#9171 Insert callback in the right place

Gbp-Pq: Name ITS-9171-Insert-callback-in-the-right-place.patch

[PATCH] ITS#9086 Add debug logging for more GnuTLS errors

Gbp-Pq: Name ITS-9086-Add-debug-logging-for-more-GnuTLS-errors.patch

set-maintainer-name

Gbp-Pq: Name set-maintainer-name

ITS6035-olcauthzregex-needs-restart

Gbp-Pq: Name ITS6035-olcauthzregex-needs-restart.patch

don't second-guess BDB ABI

Bug-Debian: http://bugs.debian.org/651333
Forwarded: not-needed

OpenLDAP upstream conservatively assumes that any change to the version
number of libdb can result in an API-breaking change that could impact
the database.  In Debian, we know that such changes require bumping the
library soname and changing the package name, and demand such rigor from
our package maintainers even when upstreams don't deliver; so any such
check in the source code works against the packaging system by forcing
database upgrades when we know none are required.  Disable this check
so we rely on the packaging system to do its job.

Gbp-Pq: Name no-bdb-ABI-second-guessing

Switch to lt_dlopenadvise() so back_perl can be opened with RTLD_GLOBAL. Open all modules with RTLD_GLOBAL, needed so that back_perl can load non-trivial Perl extensions that require symbols from back_perl.so itself.

Bug-Debian: http://bugs.debian.org/327585

Gbp-Pq: Name switch-to-lt_dlopenadvise-to-get-RTLD_GLOBAL-set.diff

don't use AM_INIT_AUTOMAKE macro when we aren't using automake

Calling AM_INIT_AUTOMAKE() in configure.in serves no purpose if we're not
using automake, and it confuses autoreconf.  Use AC_INIT() instead.

Gbp-Pq: Name no-AM_INIT_AUTOMAKE

fix-build-top-mk

Gbp-Pq: Name fix-build-top-mk

add-tlscacert-option-to-ldap-conf

Gbp-Pq: Name add-tlscacert-option-to-ldap-conf

ldap-conf-tls-cacertdir

Gbp-Pq: Name ldap-conf-tls-cacertdir

lastbind-makefile-manpage

Gbp-Pq: Name lastbind-makefile-manpage

[PATCH] contrib/smbk5pwd: add man page, install it too

Add a manual page slapo-smbk5pwd.5 and update smbk5pwd's Makefile to
install the new manual page.

This patch is derived from the corresponding patch upstreamed in ITS#8205

Gbp-Pq: Name smbk5pwd-makefile-manpage

contrib-makefiles

Gbp-Pq: Name contrib-makefiles

do-not-second-guess-sonames

Rip out code that second-guesses the libsasl soname / Debian shlibs.  If
cyrus sasl upstream is breaking the ABI, this needs to be fixed upstream
there, not kludged around upstream here!

Debian bug #546885

Upstream ITS #6302 filed.

Gbp-Pq: Name do-not-second-guess-sonames

getaddrinfo-is-threadsafe

OpenLDAP upstream conservatively assumes that certain resolver functions
(getaddrinfo, getnameinfo, res_query, dn_expand) are not re-entrant; but we
know that the glibc implementations of these functions are thread-safe, so
we should bypass the use of this mutex.  This fixes a locking problem when
an application uses libldap and libnss-ldap is also used for hosts
resolution.

Closes Debian bug #340601.

Not suitable for forwarding upstream; might be made suitable by adding a
configure-time check for glibc and disabling the mutex only on known
thread-safe implementations.

Gbp-Pq: Name getaddrinfo-is-threadsafe

libldap-symbol-versions

Add symbol versioning to the public LDAP libraries.  This is required for
library transitions, such as the current transition from 2.1 to 2.4,
since programs will sometimes have both libraries loaded by different
dependency chains during the transition.

Not yet contributed upstream.

Upstream ITS #5365 filed requesting symbol versioning for libldap and
libber.

Gbp-Pq: Name libldap-symbol-versions

sasl-default-path

Add /etc/ldap/sasl2 to the SASL configuration search path.

Not submitted upstream.  Somewhat Debian-specific and probably not of
interest upstream.

Gbp-Pq: Name sasl-default-path

index-files-created-as-root

Document in the man page that slapindex should be run as the same user
as slapd, and print a warning if it's run as root (since Debian defaults
to running slapd as openldap).

Not suitable for upstream in this form.  This patch needs to be reworked
to check the BerkeleyDB database ownership and only warn if running as
root with a database that's not owned by root.

Upstream ITS #5356 filed requesting better handling of this.  Current
upstream discussion leans towards putting the check into the database
backend and aborting if slapd is run as a different user than the database
owner, which is an even better fix.

Gbp-Pq: Name index-files-created-as-root

wrong-database-location

Move the default slapd database location to /var/lib/ldap instead of
/var/openldap-data.

Debian-specific.

Gbp-Pq: Name wrong-database-location

ldapi-socket-place

Move the ldapi socket to /var/run/slapd from /var/run, since /var/run
is only writable by root and slapd runs as openldap.

Debian-specific.

Gbp-Pq: Name ldapi-socket-place

slapi-errorlog-file

The slapi error log file defaults to /var/errors given our setting
of --localstatedir.  Move it to /var/log/slapi-errors instead.

Debian-specific.

Gbp-Pq: Name slapi-errorlog-file

evolution-ntlm

Patch from evolution-exchange (2.10.3).  The ldap_ntlm_bind function is
actually called by evolution-data-server, checked at version 1.12.2.
Without this patch, the Exchange addressbook integration uses simple binds
with cleartext passwords.

Russ checked with openldap-software for upstream's opinion on this patch
on 2007-12-21.  Upstream had never received it as a patch submission and
given that it's apparently only for older Exchange servers that can't do
SASL and DIGEST-MD5, it's not very appealing.

Bug#457374 filed against evolution-data-server asking if this support is
still required on 2007-12-21.

Gbp-Pq: Name evolution-ntlm

man-slapd

Patch the slapd man page to not refer to a header file that isn't
installed with the slapd package and to reference the correct path
for slapd.

Debian-specific.

Gbp-Pq: Name man-slapd

openldap (2.4.49+dfsg-2) unstable; urgency=medium

  * slapd.README.Debian: Document the initial setup performed by slapd's
    maintainer scripts in more detail. Thanks to Karl O. Pinc.
    (Closes: #952501)
  * Import upstream patch to fix slapd crashing in certain configurations when
    a client attempts a login to a locked account.
    (ITS#9171) (Closes: #953150)

[dgit import unpatched openldap 2.4.49+dfsg-2]

Import openldap_2.4.49+dfsg-2.debian.tar.xz

[dgit import tarball openldap 2.4.49+dfsg-2 openldap_2.4.49+dfsg-2.debian.tar.xz]

Import openldap_2.4.49+dfsg.orig.tar.gz

[dgit import orig openldap_2.4.49+dfsg.orig.tar.gz]

Merge openldap (2.4.49+dfsg-1) import into refs/heads/workingbranch

[PATCH] ITS#9086 Add debug logging for more GnuTLS errors

Gbp-Pq: Name ITS-9086-Add-debug-logging-for-more-GnuTLS-errors.patch

set-maintainer-name

Gbp-Pq: Name set-maintainer-name

ITS6035-olcauthzregex-needs-restart

Gbp-Pq: Name ITS6035-olcauthzregex-needs-restart.patch

don't second-guess BDB ABI

Bug-Debian: http://bugs.debian.org/651333
Forwarded: not-needed

OpenLDAP upstream conservatively assumes that any change to the version
number of libdb can result in an API-breaking change that could impact
the database.  In Debian, we know that such changes require bumping the
library soname and changing the package name, and demand such rigor from
our package maintainers even when upstreams don't deliver; so any such
check in the source code works against the packaging system by forcing
database upgrades when we know none are required.  Disable this check
so we rely on the packaging system to do its job.

Gbp-Pq: Name no-bdb-ABI-second-guessing

Switch to lt_dlopenadvise() so back_perl can be opened with RTLD_GLOBAL. Open all modules with RTLD_GLOBAL, needed so that back_perl can load non-trivial Perl extensions that require symbols from back_perl.so itself.

Bug-Debian: http://bugs.debian.org/327585

Gbp-Pq: Name switch-to-lt_dlopenadvise-to-get-RTLD_GLOBAL-set.diff

don't use AM_INIT_AUTOMAKE macro when we aren't using automake

Calling AM_INIT_AUTOMAKE() in configure.in serves no purpose if we're not
using automake, and it confuses autoreconf.  Use AC_INIT() instead.

Gbp-Pq: Name no-AM_INIT_AUTOMAKE

fix-build-top-mk

Gbp-Pq: Name fix-build-top-mk

add-tlscacert-option-to-ldap-conf

Gbp-Pq: Name add-tlscacert-option-to-ldap-conf

ldap-conf-tls-cacertdir

Gbp-Pq: Name ldap-conf-tls-cacertdir

lastbind-makefile-manpage

Gbp-Pq: Name lastbind-makefile-manpage

[PATCH] contrib/smbk5pwd: add man page, install it too

Add a manual page slapo-smbk5pwd.5 and update smbk5pwd's Makefile to
install the new manual page.

This patch is derived from the corresponding patch upstreamed in ITS#8205

Gbp-Pq: Name smbk5pwd-makefile-manpage

contrib-makefiles

Gbp-Pq: Name contrib-makefiles

do-not-second-guess-sonames

Rip out code that second-guesses the libsasl soname / Debian shlibs.  If
cyrus sasl upstream is breaking the ABI, this needs to be fixed upstream
there, not kludged around upstream here!

Debian bug #546885

Upstream ITS #6302 filed.

Gbp-Pq: Name do-not-second-guess-sonames

getaddrinfo-is-threadsafe

OpenLDAP upstream conservatively assumes that certain resolver functions
(getaddrinfo, getnameinfo, res_query, dn_expand) are not re-entrant; but we
know that the glibc implementations of these functions are thread-safe, so
we should bypass the use of this mutex.  This fixes a locking problem when
an application uses libldap and libnss-ldap is also used for hosts
resolution.

Closes Debian bug #340601.

Not suitable for forwarding upstream; might be made suitable by adding a
configure-time check for glibc and disabling the mutex only on known
thread-safe implementations.

Gbp-Pq: Name getaddrinfo-is-threadsafe

libldap-symbol-versions

Add symbol versioning to the public LDAP libraries.  This is required for
library transitions, such as the current transition from 2.1 to 2.4,
since programs will sometimes have both libraries loaded by different
dependency chains during the transition.

Not yet contributed upstream.

Upstream ITS #5365 filed requesting symbol versioning for libldap and
libber.

Gbp-Pq: Name libldap-symbol-versions

sasl-default-path

Add /etc/ldap/sasl2 to the SASL configuration search path.

Not submitted upstream.  Somewhat Debian-specific and probably not of
interest upstream.

Gbp-Pq: Name sasl-default-path

index-files-created-as-root

Document in the man page that slapindex should be run as the same user
as slapd, and print a warning if it's run as root (since Debian defaults
to running slapd as openldap).

Not suitable for upstream in this form.  This patch needs to be reworked
to check the BerkeleyDB database ownership and only warn if running as
root with a database that's not owned by root.

Upstream ITS #5356 filed requesting better handling of this.  Current
upstream discussion leans towards putting the check into the database
backend and aborting if slapd is run as a different user than the database
owner, which is an even better fix.

Gbp-Pq: Name index-files-created-as-root

wrong-database-location

Move the default slapd database location to /var/lib/ldap instead of
/var/openldap-data.

Debian-specific.

Gbp-Pq: Name wrong-database-location

ldapi-socket-place

Move the ldapi socket to /var/run/slapd from /var/run, since /var/run
is only writable by root and slapd runs as openldap.

Debian-specific.

Gbp-Pq: Name ldapi-socket-place

slapi-errorlog-file

The slapi error log file defaults to /var/errors given our setting
of --localstatedir.  Move it to /var/log/slapi-errors instead.

Debian-specific.

Gbp-Pq: Name slapi-errorlog-file

evolution-ntlm

Patch from evolution-exchange (2.10.3).  The ldap_ntlm_bind function is
actually called by evolution-data-server, checked at version 1.12.2.
Without this patch, the Exchange addressbook integration uses simple binds
with cleartext passwords.

Russ checked with openldap-software for upstream's opinion on this patch
on 2007-12-21.  Upstream had never received it as a patch submission and
given that it's apparently only for older Exchange servers that can't do
SASL and DIGEST-MD5, it's not very appealing.

Bug#457374 filed against evolution-data-server asking if this support is
still required on 2007-12-21.

Gbp-Pq: Name evolution-ntlm

man-slapd

Patch the slapd man page to not refer to a header file that isn't
installed with the slapd package and to reference the correct path
for slapd.

Debian-specific.

Gbp-Pq: Name man-slapd

openldap (2.4.49+dfsg-1) unstable; urgency=medium

  * New upstream release.
    - Drop patch no-gnutls_global_set_mutex, applied upstream.
  * When validating the DNS domain chosen for slapd's default suffix, set
    LC_COLLATE explicitly for grep to ensure character ranges behave as
    expected. Thanks to Fredrik Roubert. (Closes: #940908)
  * Backport proposed upstream patch to emit detailed messages about errors in
    the TLS configuration. (ITS#9086) (Closes: #837341)
  * slapd.scripts-common: Delete unused copy_example_DB_CONFIG function.
  * Remove debconf support for choosing a database backend. Always use the
    LMDB backend for new installs, as recommended by upstream.
  * Remove the empty olcBackend section from the default configuration.
  * Remove the unused slapd.conf template from /usr/share/slapd. Continue
    shipping it as an example in /usr/share/doc/slapd.
  * Fix a typo in index-files-created-as-root patch.
    Thanks to Quanah Gibson-Mount.
  * Annotate slapd's Depends on perl with :any. Fixes installation of
    foreign-arch slapd. Thanks to Andreas Hasenack.
  * Rename 'stage1' build profile to 'pkg.openldap.noslapd'.
    Thanks to Helmut Grohne. (Closes: #949722)
  * Drop Build-Conflicts: libicu-dev as upstream's configure no longer tests
    for or links with libicu.
  * Note ITS#9126 recommendation in slapd.NEWS.
  * Update Standards-Version to 4.5.0; no changes required.

[dgit import unpatched openldap 2.4.49+dfsg-1]

Import openldap_2.4.49+dfsg-1.debian.tar.xz

[dgit import tarball openldap 2.4.49+dfsg-1 openldap_2.4.49+dfsg-1.debian.tar.xz]

Merge openldap (2.4.48+dfsg-1) import into refs/heads/workingbranch

no-gnutls_global_set_mutex

Gbp-Pq: Name no-gnutls_global_set_mutex

set-maintainer-name

Gbp-Pq: Name set-maintainer-name

ITS6035-olcauthzregex-needs-restart

Gbp-Pq: Name ITS6035-olcauthzregex-needs-restart.patch

no-bdb-ABI-second-guessing

Gbp-Pq: Name no-bdb-ABI-second-guessing

Switch to lt_dlopenadvise() so back_perl can be opened with RTLD_GLOBAL. Open all modules with RTLD_GLOBAL, needed so that back_perl can load non-trivial Perl extensions that require symbols from back_perl.so itself.

Gbp-Pq: Name switch-to-lt_dlopenadvise-to-get-RTLD_GLOBAL-set.diff

no-AM_INIT_AUTOMAKE

Gbp-Pq: Name no-AM_INIT_AUTOMAKE

fix-build-top-mk

Gbp-Pq: Name fix-build-top-mk

add-tlscacert-option-to-ldap-conf

Gbp-Pq: Name add-tlscacert-option-to-ldap-conf

ldap-conf-tls-cacertdir

Gbp-Pq: Name ldap-conf-tls-cacertdir

lastbind-makefile-manpage

Gbp-Pq: Name lastbind-makefile-manpage

contrib/smbk5pwd: add man page, install it too

Add a manual page slapo-smbk5pwd.5 and update smbk5pwd's Makefile to
install the new manual page.

This patch is derived from the corresponding patch upstreamed in ITS#8205

Gbp-Pq: Name smbk5pwd-makefile-manpage

contrib-makefiles

Gbp-Pq: Name contrib-makefiles

do-not-second-guess-sonames

Rip out code that second-guesses the libsasl soname / Debian shlibs.  If
cyrus sasl upstream is breaking the ABI, this needs to be fixed upstream
there, not kludged around upstream here!

Debian bug #546885

Upstream ITS #6302 filed.

Gbp-Pq: Name do-not-second-guess-sonames

getaddrinfo-is-threadsafe

OpenLDAP upstream conservatively assumes that certain resolver functions
(getaddrinfo, getnameinfo, res_query, dn_expand) are not re-entrant; but we
know that the glibc implementations of these functions are thread-safe, so
we should bypass the use of this mutex.  This fixes a locking problem when
an application uses libldap and libnss-ldap is also used for hosts
resolution.

Closes Debian bug #340601.

Not suitable for forwarding upstream; might be made suitable by adding a
configure-time check for glibc and disabling the mutex only on known
thread-safe implementations.

Gbp-Pq: Name getaddrinfo-is-threadsafe

libldap-symbol-versions

Add symbol versioning to the public LDAP libraries.  This is required for
library transitions, such as the current transition from 2.1 to 2.4,
since programs will sometimes have both libraries loaded by different
dependency chains during the transition.

Not yet contributed upstream.

Upstream ITS #5365 filed requesting symbol versioning for libldap and
libber.

Gbp-Pq: Name libldap-symbol-versions

sasl-default-path

Add /etc/ldap/sasl2 to the SASL configuration search path.

Not submitted upstream.  Somewhat Debian-specific and probably not of
interest upstream.

Gbp-Pq: Name sasl-default-path

index-files-created-as-root

Document in the man page that slapindex should be run as the same user
as slapd, and print a warning if it's run as root (since Debian defaults
to running slapd as openldap).

Not suitable for upstream in this form.  This patch needs to be reworked
to check the BerkeleyDB database ownership and only warn if running as
root with a database that's not owned by root.

Upstream ITS #5356 filed requesting better handling of this.  Current
upstream discussion leans towards putting the check into the database
backend and aborting if slapd is run as a different user than the database
owner, which is an even better fix.

Gbp-Pq: Name index-files-created-as-root

wrong-database-location

Move the default slapd database location to /var/lib/ldap instead of
/var/openldap-data.

Debian-specific.

Gbp-Pq: Name wrong-database-location

ldapi-socket-place

Move the ldapi socket to /var/run/slapd from /var/run, since /var/run
is only writable by root and slapd runs as openldap.

Debian-specific.

Gbp-Pq: Name ldapi-socket-place

slapi-errorlog-file

The slapi error log file defaults to /var/errors given our setting
of --localstatedir.  Move it to /var/log/slapi-errors instead.

Debian-specific.

Gbp-Pq: Name slapi-errorlog-file